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PROCEDE POUR EFFECTUER UN CONTROLE DE SECURITE PES FLUX 
DE PONNEES ECHANGEES ENTRE UN MODULE ET UN RESEAU DE 
COMMUNICATION, ET MODULE PE COMMUNICATION 

La pr6sente invention concerne les systemes de communication, et en 
5 particulier les modules de communication. 

L'invention trouve application dans le domaine des systemes de 
communication dans lesquels un service d'echange de donnees est foumi. Elle 
s'applique en outre particulierement bien a des systemes de 
radiocommunication qui offrent un service d'echanges de donn6es tels que le 
10 GPRS (« General Packet Radio Service ») ou I'UMTS ("Universal Mobile 
Telecommunication System"), et de preference dans les terminaux de 
radiocommunications de ces systemes. ■ 

Les r6seaux IP (« Internet Protocol ») ou X.25 sont des exemples de 
r£seaux d'echange de paquets, communement appeles r6seaux PDN (de 

15 I'anglais « packet data network »). Chaque element de reseau d'un r§seau de 
paquet est usuellement muni d'un controleur de transmission et de reception 
de paquets 6changes conform6ment a un protocole d'6change de paquets 
(PDP, ou « packet data protocol ») donn6. II est frequent de doter le contrdleur 
de certains elements de reseau d'un systdme drt garde-barrifere, ou pare-feu 

20 (en anglais « firewall »), dont la fonction est de proteger I'element de r6seau 
par le biais d'un controle sur les flux de paquets transmis ou regus par 
I'6l6ment de r§seau. Le systeme pare-feu filtre les paquets en reception, et 
controle aussi remission des paquets en transmission. Ce systeme est 
fr6quemment impl6ment6 dans un module logiciel qui coop^re avec le 

25 controleur de transmission et de reception des paquets. 

L'article « Network Firewalls », publie en septembre 1994 par S.M. 
Bellovin et W. R. Cheswick dans le magazine « IEEE Communications 
Magazine » foumit une description detaill6e des pare-feux et des technologies 
afferentes. 

30 La structure classique d'un pare-feu est illustree ^ la figure 1. Deux 

filtres 1,2 entourent une ou plusieurs passerelles 3. Chaque filtre 1,2 a pour 
fonction d'analyser et de controler de maniere unidirectionnelle ou 
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bidirectionnelle les flux de paquets ^changes sur les liens 4 et 5. Un filtre est 
ainsi amen6 a rejeter un paquet, le laisser passer ou bien Tignorer, et ce sur la 
base de entires de filtrage. La passerelle ou le groupe de passerelles 3 a pour 
fonction d'exercer un controle applicatif sur les flux de donn6es que le filtre 
5 plac6 en amont laisse passer. Les regies de controle et criteres de filtrage sont 
definis et configurables au moyen d'un module 6 de configuration relie a 
chacun des composants 1, 2, 3 du pare-feu. : 

Les criteres de filtrage peuvent par exemple, de maniere connue en 
soi, etre definis sur la base de I'adresse source ou de destination, ou bien du 

10 service source ou destination des paquets a filtrer. Dans le cas d'un pare-feu 
operant sur des paquets TCP/IP ou UDP/IP, il peut s'agir de Padresse IP 
source ou de destination d'un datagramme, ou bien du port UDP ou TCP 
source ou de destination d'un paquet UDP ou TCP. Ainsi, un filtre 1 , 2 peut etre 
configure de manure a ne laisser passer que les paquets TCP a destination 

15 d'un numero de port donn6, correspondant a un service d§termin6. 

La passerelle ou le groupe de passerelles 3 effectue un controle 
relativement a un ou plusieurs criteres relatifs a une application donn6e. Un 
exemple typique consiste, dans le cas d'une application d'echange de courriers 
electroniques, en un filtrage applicatif des courriers 6chang6s sur la base par 
20 exemple d'informations qui sont rep§rees dans I'en-tete ou le corps d'un 
message de courrier. 

En g§n6ral, le filtre 1 est bidirectionnel et configure de manfere a 
proteger les €quipements en aval, parmi lesquels se trouvent les passerelles 3, 
le filtre 2 et les equipements relics au lien 5, et agit sur les flux de donnges 
25 echang6s sur le lien 4. Le filtre 2, lui aussi bidirectionnel, foumit un rempart 
supplemental pour proteger les equipements reltes au lien 5. 

Bien souvent des noeuds de reseau tels que des passerelles, des 
routeurs, ou des ponts sont dotes d'un pare-feu. Cela permet notamment 
d'isoler un reseau prive (par exemple un reseau d'entreprise, ou un intranet) 
30 d'un r§seau public (typiquement le reseau Internet) auquel il est reli&. Les pare- 
feux sont ainsi largement utilises dans le contexte des reseaux interconnectes. 
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lis le sont aussi dans celui des ordinateurs personnels dotes des moyens 
logiciels et materiels pour se connecter au r§seau Internet, directement ou par 
I'interntediaire d'un fournisseur de service Internet (en anglais ISP, pour 
« Internet Service Provider »). Un usager peut ainsi doter son ordinateur 
5 personnel d'un logiciel pare-feu afin de le proteger lors des connexions au 
r§seau Internet. 

De fait, il peut etre envisage de doter tout systeme capable d'echanger 
des donn6es avec un r6seau de communication de donn6es d'un pare-feu tel 
que celui d6crit & la figure 1. C'est ce qui est fait dans la demande 
10 internationale WO 03/017705, qui divulgue integration d'une plurality 
duplications logicielles au sein d'un terminal de radiocommunication, parmi 
lesquelles une application pare-feu qui coopere avec une unite de filtrage de 
paquets. 

La demande EP 1 094 682 divulgue par ailleurs un telephone mobile 
15 ou une unite d'acc6s mobile pour communiquer avec un r6seau d'6change de 
paquets qui comprend une fonction de s6curite, assutee par exemple par une 
passerelle de securite. 

[.'utilisation des pare-feux dans le contexte des r6seaux de 
radiocommunications a aussi fait I'objet d'un article, intitute « Firewalls for 
20 Security in Wireless Networks » (Murthy et ah, Proceedings of the Thirty-First 
Hawaii International Conference on System Sciences, 1998, Volume: 7 , 6-9 
Jan. 1998) dans lequel les auteurs decrivent un systeme dans lequel un pare- 
feu est mis en ceuvre au sein de I'infrastructure d'un r6seau de 
radiocommunication. 

25 L'inconv6nient majeur des solutions proposees est qu'elles ne 

permettent pas la mise en ceuvre d'une fonction de securite au sein d'une 
station mobile adaptee a la diversite des r6seaux de communication avec 
lesquels une station mobile est aujourd'hui susceptible d'echanger des 
donn6es. Elles ne proposent en effet que des fonctions de s6curite qui 

30 agissent sans distinction sur I'ensemble des flux de donn§es 6chang§s par une 
station mobile. Ce probteme, qui n'est pas sp6cifique aux systemes de 
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radiocommunications, se pose Sgalement dans !e contexte plus global de la 
mise en oeuvre d'une fonction de s6curite au sein d'un 6quipement de 
communication susceptible d'§changer simultan6ment des donnees avec des 
r6seaux de communication qui soit adaptee & la diversity des conditions de 
5 s§curite souhaitables lors d'un 6change de donnees avec chacun de ces 
reseaux. 

Le but de la pr6sente invention est de proposer une nouvelle 
architecture optimale de la fonction de s6curit6 au sein d'un equipement de 
communication ne pr^sentant pas les inconv6nients exposes ci-dessus. 

10 L'invention propose ainsi un module de communication comprenant 

des moyens pour 6changer des flux de donn6es avec un r6seau de 
communication dans le cadre de sessions de communication etablies et 
organisees selon des contextes de session de communication, et des moyens 
de s6curite pour controler les flux de donn6es 6chang6s. Les moyens de 

15 s6curit6 pour controler les flux de donn6es 6chang6s sont agenc6s pour op6rer 
relativement £ au moins un param6tre attache au contexte de session de 
communication de la session correspondante. 

Les moyens de s6curit§ pour controler les flux de donn§es 6chang§s 
selon Tinvention remplissent une fonction de securite, agenc6e au sein d'un 
20 module de communication, qui agit dans le cadre d'une session de 
communication, et ce par le biais du contexte de session de communication 
assocte. Cette solution permet la mise en oeuvre d'une fonction de securite 
dans un cadre plus sp6cifique que celui du simple ^change de donnees. 

Selon l'invention, les moyens de s6curite pour controler les flux de 
25 donnees 6chang6s peuvent etre agences pour operer relativement £ un 
identifiant du contexte de session de communication de la session 
correspondante, et/ou a un paramdtre constitutif dudit contexte. Des exemples 
de param§tres utilisables dans le cadre de l'invention sont une adresse qui 
peut etre celle du module selon l'invention ou d'un equipement au sein duquel il 
30 est incorpor6, la quality de service associ6e & l'6change de flux de donn6es, ou 
bien I'identifiant d'un reseau cible. 
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De manfere avantageuse, les moyens pour 6changer des flux de 
donnees comprennent des moyens pour 6changer des flux de donnees en 
paquets, et les moyens de s6curit§ pour controler les flux de donn6es sont 
agenc§s pour op6rer sur des donnees en paquets. 

5 Plus sp6cifiquement, les moyens de s6curit6 pour controler les flux de 

donnees ^changes peuvent etre structures sur la base de la structure classlque 
d'un pare-feu d6crite pr6c6demment. lis peuvent ainsi comprendre un filtre 
pour operer par filtrage des flux de donn£es relativement £ au moins un 
parametre attache au contexte de session de communication de la session 

10 correspondante. 

Les moyens de s6curite pour controler les flux de donnees 6chang§s 
peuvent de maniere alternative, comprendre un premier et un second filtres 
pour operer par filtrage des flux de donnees echanges, et une ou plusieurs 
passerelles pour controler les flux de donnees echangees relativement £ un ou 
15 plusieurs criteres relatifs ^ une application donn6e f Tun au moins des premier 
et second filtres etant alors agenc6 pour op§rer relativement a au moins un 
parametre attach^ au contexte de session de communication de la session 
correspondante. 

L'invention trouve une application particulterement avantageuse dans 
20 le domaine des radiocommunications. II est ainsi pr6vu d'integrer le module 
selon invention dans un module de radiocommunication, ou un §quipement 
d'infrastructure de radiocommunication. De maniere typique, le module de 
radiocommunication sera incorpore dans une station mobile. 

Uinvention pr6voit en outre un proced§ pour effectuer un controle de 
25 s6curit6 des flux de donnees 6chang6s entre un module de communication et 
un reseau de communication dans des sessions de communication organisees 
selon des contextes de session de communication, dans lequel on etablit une 
session de communication avec un correspondent distant, suivant un contexte 
de session de communication actif, et on contrdle les flux de donnees 
30 echang§es selon le contexte de session de communication active, relativement 
a au moins un parametre attach6 audit contexte. De maniere avantageuse, ce 
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procede sera appliqu6 d des flux de donnges en paquets. 

Selon Tinvention, le controle des flux de donn6es 6chang6s peut 
operer relativement a un identifiant du contexte de session de communication 
de la session correspondante, et/ou a un parametre constitutif dudit contexte. 

5 On pourra aussi envisager de controler les flux de donnees 6chang6es 

selon le contexte de session de communication actif conform6ment au proc6de 
selon Tinvention en filtrant lesdits flux de donn§es au moyen d'un filtre qui 
op&re relativement & au moins un parametre attach^ au contexte de session de 
communication de la session correspondante. 

10 De manidre alternative, I'etape de controle des flux de donnees 

6chang6s selon le contexte de session de communication actif pourra etre 
mise en oeuvre en filtrant lesdits flux de donnees au moyen d'un premier et 
d'un second filtres pour filtrer les flux de donnees 6chang6s, et d'une ou 
plusieurs passerelles pour controler les flux de donn6es 6changees 

15 relativement a un ou plusieurs entires relatifs a une application donn§e, Tun au 
moins des premier et second filtres 6tant agence pour op6rer relativement d au 
moins un parametre attach^ au contexte de session de communication de la 
session correspondante. 

L'invention propose enfin un programme d'ordinateur chargeable dans 
20 une m6moire associ6e & un processeur, et comprenant des instructions pour la 
mise en oeuvre d'un proc6d§ tel que d§fini ci-dessus lors de l'ex6cution dudit 
programme par le processeur, ainsi qu'un support informatique sur lequel est 
enregistr6 ledit programme. 

D'autres particularites et avantages de la pr6sente invention 
25 apparaftront dans la description ci-apres d'exemples de realisation non 
limitatifs, en reference aux dessins annexes, dans lesquels: 

- la figure 1 est un schema synoptique de la structure classique d'un pare- 
feu ; 
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- la figure 2 est un schema illustrant un syst&me de communication 
comprenant une station mobile incorporant un module selon I'invention ; 
et 

- la figure 3 illustre un exemple d'architecture du module selon I'invention. 

5 (.'invention sera dans la suite decrite dans le cadre non limitatif des 

systemes de radiocommunication qui fournissent un exemple particulierement 
pertinent de sa mise en oeuvre. 

La figure 2 illustre la mise en oeuvre de Pinvention au sein d'une station 
mobile 21 en communication avec deux reseaux 24, 25, dont Tun est un r§seau 
public et I'autre est un reseau prive. 

Les communications, en particulier les ^changes de donn§es, 
s'effectuent par le biais d'un r§seau de radiocommunication, par exemple un 
r6seau cellulaire & couverture 6tendue (PLMN) (« Public Land Mobile 
Network »). Ce PLMN est classiquement divise en un coeur de reseau 23, 
comprenant des commutateurs interconnects, et un r§seau d'acces radio 
(RAN) (« Radio Access Network ») 22 fournissant les liens radio avec les 
stations mobiles 21. 

Dans Texemple repr6sente, le PLMN est de seconde generation et de 
type GSM. II incorpore dans ce cas un service de transmission de paquets de 
type GPRS (« General Packet Radio Service »). Dans le GSM, le r6seau 
d'acces 22, appel6 BSS (« Base Station Sub-system »), se compose de 
stations de base (BTS) distributes sur la zone de couverture du r6seau pour 
communiquer par radio (interface Um) avec les stations mobiles 21, et de 
contrdleurs de stations de base (BSC) relies au coeur de rgseau 23 et 
supervisant chacune des stations de base & travers des interfaces appelees 
Abis. Les protocoles utilises dans le PLMN GPRS sont d6crits dans les 
specifications techniques GSM 23.060 (version 5.6.0, Release 5, juillet 2003), 
03.64 (version 8.9.0, Release 1999, novembre 2002), 08.16 (version 8.0.1, 
Release 1999, juillet 2002) et 29.061 (version 5.7.0, Release 5, octobre 2003) 
publtees par le 3GPP. 
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L'invention est applicable a d'autres types de PLMN, notamment & des 
r6seaux de troisteme generation de type UMTS (« Universal Mobile 
Telecommunications System ») ou CDMA 2000. 

Le coeur de r6seau dans la norme UMTS comprend deux domaines 
5 distincts correspondant a un decoupage entre les services a commutation de 
circuit (CS, pour « Circuit Switched ») et ceux & commutation de paquets 
(« PS, pour « Packet Switched »). On distingue ainsi le domaine PS (« Packet 
Switched Domain ») du domaine CS (« Circuit Switched Domain »). Certaines 
fonctions, comme notamment r&ablissement d'appel, sont ainsi ger6es 
10 differemment, et realis6es dans des equipements du coeur de r6seau differents 
selon qu'elles sont realisees dans Fun ou I'autre de ces deux domaines. 

Le coeur de reseau 23 est relte au r6seau d'acces radio 22 au moyen 
d'une interface, appelee interface A, Gb pour le GSM, et lu, pour I'UMTS. 

Le coeur de r6seau 23 est en outre relte a des r§seaux fixes 
15 comportant un ou plusieurs r£seaux de transmission de donn§es en paquets 
utilisant des protocoles respectifs (PDP) tels que X.25 ou IP. Dans I'exemple 
illustrg par les dessins, il y a un reseau public de transmission de paquets 25 
constitu§ par le r6seau Internet, et un r6seau priv§ de transmission de paquets 
24 constitue par un r6seau Intranet. 

20 Le coeur de r&seau 23 comporte pour le mode paquets des 

commutateurs appel6s GSN (« GPRS Support Node »), qui communiquent 
entre eux & travers une interface appel6e Gn. Les commutateurs de paquets 
relies aux BSC du r6seau d'acces 22 sont appetes SGSN (« Serving GSN »), 
tandis que d'autres commutateurs de paquets, appeles GGSN (« Gateway 

25 GSN »), servent de passerelle avec les r6seaux de paquets, notamment le 
r6seau Internet 25 et le r6seau Intranet 24. Ces passerelles sont relives aux 
SGSN pour permettre aux stations mobiles 21 d'acc6der aux reseaux 24, 25. 

La procedure d'6tablissement d'appel dans le domaine PS de I'UMTS 
ou dans le r6seau de commutation de paquets GPRS fait intervenir la notion de 
30 contexte PDP. Un contexte PDP est un exemple particulier de contexte de 
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session de communication, que Ton peut definir comme un ensemble 
d'informations relatives a une session de communication. 

La notion de contexte PDP est decrite au paragraphe 7.2.1 de 
I'ouvrage de reference de P. Lescuyer : « UMTS, Les origines, L'architecture, 
5 La norme » (2 6me edition, Dunod, 2002). Le contexte PDP regroupe I'ensemble 
des informations permettant la transmission des donn6es usager entre le 
mobile, le r6seau UMTS et le r6seau de commutation de paquets externe (par 
exemple Internet). 

Avant d'initier tout transfert de donn6es, la station mobile 21 doit 
10 n6cessairement demander au cceur de r6seau 23 I'activation d'un contexte 
PDP, qui devra verifier la conformite des attributs du contexte demand^ par 
rapport aux caracteristiques de I'abonnement souscrit par I'usager. 

Plusieurs contextes PDP peuvent etre actifs simultanement pour un 
usager donne. L'usager peut en effet vouloir activer plusieurs sessions en 

15 paraltele, par exemple pour relever simultan6ment deux boTtes aux lettres 
6lectroniques d6tenues par deux fournisseurs de services differents. Dans ce 
cas, le mobile doit activer autant de contextes PDP que de sessions. Grace a 
cette fonctionnalite, un utilisateur peut en theorie & la fois naviguer sur Nnternet 
en utilisant le protocole WAP (« Wireless Application Protocol ») sur son 

20 telephone portable GPRS et consulter un site Web sur son ordinateur connects 
3 son telephone portable, via I'activation de deux contextes PDP. 

Deux contextes de session de communication 26, 27 ont et§ activ6s au 
sein de la station mobile 21. Dans I'exemple illustr§ par les dessins, il s'agit de 
deux contextes PDP actifs. Chaque contexte PDP est relatif au reseau avec 
25 lequel on souhaite initier une session de communication, et la station mobile 21 
a une session de communication active avec le r6seau intranet 24, et deux 
sessions de communication actives avec le reseau public Internet 25. 

La procedure d'activation d'un contexte PDP par une station mobile est 
decrite en details au paragraphe 9.2.2.1 de la sp6cification 3GPP TS 23.060. 

30 Pour initier cette procedure, la station mobile envoie un message 
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d'activation ACTIVATE PDP CONTEXT REQUEST au SGSN. Ce message 
indique les valeurs des differents parametres du contexte PDP dont on requiert 
I'etablissement, dont les principaux sont : 

- I'adresse PDP de la station mobile 21 . Dans le cas d'un reseau externe 
5 Internet, il s'agit d'une adresse IP v4 ou IP v6. Pour chaque contexte 

PDP 26, 27 en cours, la station mobile se voit done attribuer une adresse 
IP temporaire ; 

- la quality de service associee a la communication, qui est representee 
par les attributs du lien radio alloue par le reseau d'acces 22 ; 

10 - I'APN (« Access Point Name), qui correspond a ridentifiant du reseau fixe 

24, 25 auquel le mobile souhaite acceder. 

Comme indique precedemment, plusieurs contextes PDP peuvent §tre 
actifs simultanement, de sorte qu'une station mobile pourra simultanement 
avoir plusieurs adresses PDP - typiquement plusieurs adresses IP source - 
15 distinctes. L'invention permet alors par exemple la mise en oeuvre d'une 
fonction de securite qui opere de facon independante sur chacun des flux 
echanges avec ces adresses IP source multiples. 

Selon l'invention, I'activation de chaque contexte de session de 
communication 26, 27 - dans I'exemple illustre chaque contexte PDP - donne 

20 lieu a la creation d'une tache logicielle de securite 28, 29 qui fournit les 
fonctions d'un pare-feu telles que precedemment decrites, et opere dans le 
cadre des echanges effectues selon le contexte 26, 27 auquel elle est 
associee. Chaque tache logicielle de securite 28, 29 est en effet susceptible 
d'effectuer une operation sur les flux de donnees echangees dans le cadre 

25 d'une session de communication definie dans le contexte 26, 27 
correspondant. Par exemple, des parametres de filtrage en fonction des 
adresses IP et/ou des ports TCP ou UDP des datagrammes recus ou envoyes 
differeront selon qu'il s'agit du contexte 26 de communication avec le reseau 
Intranet 24, ou du contexte 27 de communication avec le reseau Internet 25. 

30 On pourra notamment souhaiter de parametrer la tache logicielle de securite 28 
de maniere a foumir une securite accrue pour I'acces a Plnternet public - ce qui 
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se traduira par des param^tres de filtrage actif plus restrictifs - par rapport au 
param6trage de la teche loglcielle de s6curit§ 29 pour Pacces a Plntranet, de 
maniere a ne pas gener 6ventuellement Pexecution des applications propres a 
ce r6seau priv6 qui offre par nature une meilleure s6curite. 

5 Par exemple, une entreprise pourra tolerer que globalement ses 

employes « naviguent » sur le r6seau public internet par Pinterm6diaire de leurs 
mobiles de fonction et done autoriser les transactions entrantes et sortantes sur 
le port 80 traditionnellement reserve aux ^changes selon le protocole HTTP 
(« HyperText Transfer protocol »). Elle pourra explicitement interdire Pacces d 

10 bertains sites contraires a son 6thique par Pinterm6diaire de regies de s6curite 
si elle le souhaite. Elle pourra par ailleurs, en controlant le port 25 dgdie au 
protocole SMTP (« Simple Mail Transfer protocol ») pour les deuxsessions de 
communications, autoriser Penvoi et la reception de courriels vers ou en 
provenance de Plntranet et refuser Penvoi et/ou la reception de courriels vers 

15 ou en provenance de Pintemet 

Chaque tache logicielle de securite 28, 29, est done propre a controler 
et notamment limiter les flux de donn6es echanges par la station mobile 21 
relativement d Pun quelconque des paramdtres attaches au contexte 26, 27 
auquel elle est associ6e, et notamment un des paramStres constitutif dudit 

20 contexte 26, 27, comme par exemple pour le cas d'un contexte PDP 
repr6sent6 sur la figure 2, Padresse (PDP) de la station mobile 21, la quality de 
service associ6e a la communication, ou PAPN. Le controle des flux peut aussi 
s'effectuer £ P§chelle plus globale du contexte 26, 27 en lui-meme, par 
exemple par le biais d'un identifiant de contexte 26, 27. Cela permet d'exercer 

25 un controle sur Pensemble des flux 6chang6s dans le cadre d'une session 
organisee selon un contexte 26, 27 sur la base de son identifiant, & Pinverse 
des flux echang&s dans le cadre d'une session organisee selon un autre 
contexte 26, 27 pour lequel on choisira de ne pas effectuer de controle. 

Deux taches logicielles applicatives 30, 31 - Pune traitant du transfert 
30 de fichiers selon le protocole FTP, et Pautre traitant de la consultation de pages 
web - 6changent des donn6es - dont le chemin logique est represents en 
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pointings sur la figure - avec des entites correspondantes dans les r£seaux 
fixes 24, 25 par le biais des contextes 26, 27 actifs. 

L'organisation des fonctions remplies par les t§ches logicielles de 
s6curit6 28, 29 utilis6es dans la station mobile 21 peut correspondre £ la 

5 structure des pare-feux d6crite pr§c6demment et illustr6e d la figure 1 . On peut 
aussi envisager dans le cadre de Tinvention une organisation plus leg£re, c'est- 
a-dire n'incorporant que des filtres, voire m§me un seul filtre. La fonction de 
s6curite peut en outre etre alors configure de sorte que chaque filtre op£re de 
mani£re unidirectionnelle, ou bidirectionnelle. L'invention n'est en effet pas 

10 limitee £ une organisation specifique de la fonction de s6curit6. 

La figure 3 illustre un exemple d'architecture d'un module selon 
Tinvention. Le module 28 de s6curit6 comprend un module 6 de configuration 
relie d une m6moire 47 pour m6moriser les param£tres de security associ§s & 
differents contextes PDP. Le module 28 foumit une fonction de securite activ6e 
15 par le biais de Tinstanciation d'une tache logicielle offrant les fonctions de 
filtrage 1, 2 et de controle 3 pr£c£demment d6crites sous le controle d'un 
organe 48, typiquement constitu6 par un processeur. 

Le contrdleur 48 pilote d'autre part un ensemble 46 de contextes PDP. 
II precede £ Tactivation d'un contexte, a la gestion des contextes actifs, et & 

20 leur fermeture le cas 6ch6ant. L'ensemble 46 consiste par exemple en une 
m6moire dans laquelle sont conserves les differents parametres de chaque 
contexte PDP propre a Tusager utilisant le module selon Tinvention. Selon 
Tinvention, lors de Tactivation d'un contexte PDP, le controleur 48 pilote en 
outre le module 28 afin de cr§er une instance de tache logicielle de s6curite 

25 operant selon les param6tres associes au contexte dont on a requis 
Tactivation. Les valeurs de ces parametres sont configurees au pr6alable et 
consignees dans la m6moire 47. La tache logicielle de s6curit6 ainsi cr66e est 
supprim6e lors de la fermeture du contexte PDP dont Tactivation a donn6 lieu a 
sa creation. 

30 Dans un mode suppl6mentaire de realisation de Tinvention, le module 

6 de configuration du pare-feu peut etre agence de maniere a ce que 
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I'ensemble ou une portion des parametres consignes dans la memoire 47 
soient accessibles en configuration d I'usager. Pour ce faire, le module 6 
coop6re avec Implication interface homme-machine du terminal de I'usager 
par le biais du controleur 48. Avantageusement, on pourra prevoir d'offrir cette 
5 option de configuration £ I'usager sur une interface graphique (GUI) 
(« Graphical User Interface »). 

L'usager peut ainsi configurer les parametres de I'instance de tache 
logicielle de s§curite qui sera cr66e suite & I'activation d'un contexte PDP 
donne. On peut aussi envisager la possibility de definir des jeux de parametres 
10 de tache logicielle de securite associes avec un type de reseau (Reseau public, 
reseau prive par exemple) avec lequel I'usager est susceptible d'echanger des 
donn6es. 

LMnvention pr6voit done la possibilite de definir des jeux de parametres, 
m§moris6s en m6moire 47, par le biais d'une interface graphique (GUI). Par 

15 definition d'un jeu de parametres disponibles en configuration pour la tache 
logicielle de s6curit§, on entend la possibilite pour I'usager de s§lectionner le 
ou les parametres qu'il souhaite configurer, et d'attribuer les valeurs souhaitees 
aux parametres choisis. Une interface graphique lui permettra ais§ment de 
cr6er, de modifier ou de supprirner des profils de s6curite associ§s ^ des 

20 contextes de session de communication. 

Dans un autre mode de realisation, Tinvention est mise en oeuvre au 
sein d'un 6quipement d'infrastructure d'un reseau de radiocommunication. 
Uinvention permet alors par exemple d'effectuer un filtrage des flux echang6s 
par contexte de session de communication relativement aux attributs de 

25 I'usager de souscription. Cela se traduit, pour un op§rateur, par la possibilite de 
mettre en oeuvre par exemple un filtre & courrier eiectronique commercial non 
sollicite (en anglais « spam ») ou un ftltre a virus pour ses usagers privil6gi£s, 
sans nScessairement offrir ce service aux autres usagers. Dans le cadre des 
r6seaux de radiocommunication GPRS ou UMTS, les contextes de session de 

30 communication sont des contextes PDP. Dans I'exemple represents sur la 
figure 2, infrastructure de reseau de radiocommunication comprend le reseau 
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d'acc^s radio 22 et le coeur de r6seau 23. La mise en oeuvre de Tinvention au 
sein d'un commutateur GGSN du coeur de r6seau, par exemple, se r6vele 
particulierement avantageuse. D'une part, parce qu'un GGSN (de meme qu'un 
SGSN) a la connaissance de contextes PDP actifs. II conserve en effet une 

5 table de contextes PDP, utilis6e notamment dans la gestion de la facturatlon. 
On pourra, pour plus de details, se reporter £ la description des procedures 
d'activation, de modification et de deactivation des contextes PDP aux 
paragraphes 9.2.2, 9.2.3 et 9.2.4 de la specification 3GPP TS 23.060, version 
5.6.0. On peut done adjoindre a un GGSN un module de communication selon 

10 invention. D'autre part, parce que le GGSN, servant de passerelle en bordure 
du coeur de r6seau, est un point d'ancrage des communications vu du PLMN. II 
n'y a pas de transfert de GGSN au cours d'une session de communication, de 
sorte qu'il s'av^re plus efficace d'exercer le controle des flux de donn§es selon 
Tinvention & partir de ce noeud du coeur de reseau. 

15 II est entendu que le module selon Tinvention, dans ses differents 

modes de realisation, peut etre implements de differentes manieres, comme 
par exemple sur une carte electronique destin6e & §tre embarqu6e dans un 
§quipement terminal de radiocommunication ou un §quipement d'infrastructure 
de radiocommunication, ou bien sur une produit serni-conducteur, comme un 

20 ASIC (« Application Specific Integration Circuit »), sans enlever de generality a 
Tinvention. 
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REVENDIC ATIONS 

1 . Module de communication comprenant des moyens pour 6changer 

des flux de donn§es avec un r6seau de communication dans le cadre de 
sessions de communication etablies et organisees selon des contextes (26, 27) 
5 de session de communication, et des moyens (28, 29) de s6curit6 pour 
controler les flux de donn6es 6chang6s, caracterisd en ce que lesdits moyens 
(28, 29) de s6curite pour contrdler les flux de donn6es 6chang6s sont agenc6s 
pour operer relativement £ au moins un paramStre attache au contexte (26, 27) 
de session de communication de la session correspondante. 

10 2. Module selon la revendication 1, dans lequel les moyens (28, 29) de 

s6curite pour controler les flux de donnees echang§s sont agences pour operer 
relativement & un identifiant du contexte (26, 27) de session de communication 
de la session correspondante. 

3. Module selon la revendication 1, dans lequel les moyens (28, 29) de 
15 s6curit§ pour controler les flux de donnees 6chang6s sont agences pour op6rer 

relativement £ au moins un param6tre constitutif du contexte (26, 27) de 
session de communication de la session correspondante. 

4. Module selon la revendication 3, dans lequel ledit parametre est une 
adresse du module ou d'un 6quipement au sein duquel il est incorpor£, une 

20 quality de service assoctee £ l'6change de flux de donn6es, ou bien Tidentifiant 
d'un r§seau cible. 

5. Module selon Tune quelconque des revendications pr6c6dentes, 
dans lequel les moyens pour 6changer des flux de donn6es comprennent des 
moyens pour 6changer des flux de donnees en paquets, et les moyens de 

25 s6curit6 pour controler les flux de donnees sont agences pour op§rer sur des 
donn6es en paquets. 
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6. Module selon Tune quelconque des revendications pr6c6dentes, 

dans lequel les moyens (28, 29) de s6curit6 pour controler les flux de donn6es 
6chang6s comprennent un filtre (1, 2) pour op6rer par filtrage des flux de 
donnees. 

5 7. Module selon Tune quelconque des revendications pr6c6dentes, 

dans lequel les moyens (28, 29) de s6curit6 pour controler les flux de donnees 
echang6s comprennent un premier et un second filtres (1, 2) pour op6rer par 
filtrage des flux de donnees echanges, et une ou plusieurs passerelles (3) pour 
contrdler les flux de donn6es 6chang6es relativement a un ou plusieurs criteres 
10 relatifs a une application donnee, et dans lequel Tun au moins des premier et 
second filtres est agenc6 pour op6rer relativement a au moins un paramdtre 
attache au contexte de session de communication de la session 
correspondante. 

8. Module de radiocommunication comprenant un module de 
15 communication selon Tune quelconque des revendications precedentes. 

9. Station mobile (21) apte £ echanger des donn6es avec un r£seau de 
radiocommunication (22, 23), comprenant un module de radiocommunication 
selon la revendication 8. 

10. Equipement d'infrastructure d'un reseau de radiocommunication 
20 comprenant un module de communication selon Tune quelconque des 

revendications 1 a 7. 

1 1 . Proc6de pour effectuer un controle de s6curit6 des flux de donnees 
^changes entre un module de communication et un r6seau de communication 
dans des sessions de communication organises selon des contextes de 

25 session de communication, dans lequel 

- on 6tablit une session de communication avec un correspondant distant, 
suivant un contexte de session de communication actif, et 
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- on controle, £ I'int6rieur de la session 6tablie, les flux de donn6es 
6chang6es selon le contexte de session de communication actif, 
relativement & au moins un parametre attach^ audit contexte. 

12. Proc6de selon la revendication 11, dans lequel on controle les flux 
5 de donn§es echang6es selon le contexte de session de communication actif, 

relativement a un identifiant dudit contexte actif. 

13. Proc6de selon la revendication 11, dans lequel on controle les flux 
de donn6es 6chang6es selon le contexte de session de communication actif, 
relativement £ au moins un parametre constitutif dudit contexte (26, 27) actif. 

10 14. Proc6de selon la revendication 13, dans lequel ledit param£tre est 

une adresse du module, une quality de service associ&e a l'§change de flux de 
donnees, ou bien I'identifiant d'un r6seau cible. 

15. Proc6d§ selon Tune quelconque des revendications 11 £ 14, dans 
lequel on controle des flux de donn€es en paquets, 6changees selon le 

15 contexte de session de communication actif, relativement £ au moins un 
parametre attache au contexte de session de communication de la session 
correspondante. 

16. Proc6de selon Tune quelconque des revendications 11 £ 15, dans 
lequel on controle les flux de donn6es echang6es selon le contexte de session 

20 de communication actif en filtrant lesdits flux de donn6es au moyen d'un filtre 
qui op6re relativement £ au moins un param&tre attach^ au contexte de 
session de communication de la session correspondante. 

17. Precede selon Tune quelconque des revendications 11 £ 15, dans 
lequel on controle les flux de donnees 6changees selon le contexte de session 

25 de communication actif en filtrant lesdits flux de donn6es au moyen d'un 
premier et d'un second filtres pour filtrer les flux de donn6es 6chang6s, et 
d'une ou plusieurs passerelles pour controler les flux de donnees §chang§es 
relativement £ un ou plusieurs entires relatifs £ une application donnee, Tun au 
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moins des premier et second filtres 6tant agenc6 pour op6rer relativement a au 
moins un param6tre attach^ au contexte de session de communication de la 
session correspondante. 

18. Programme d'ordinateur, chargeable dans une m§moire associee a 
5 un processeur, et comprenant des instructions pour la mise en ceuvre d'un 

proced6 selon Tune quelconque des revendications 11 & 17 lors de Tex6cution 
dudit programme par le processeur. 

19. Support informatique sur lequel est enregistre un programme selon 
la revendication 18. 
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